Un ataque detectado en iPhone permite tomar el control de una cuenta de WhatsApp sin que la víctima pulse ningún enlace ni vincule manualmente ningún dispositivo. Desde ahí, los delincuentes escriben a los contactos de la víctima haciéndose pasar por ella para pedirles dinero. El Instituto Nacional de Ciberseguridad (INCIBE) ha confirmado los primeros casos, localizados en Italia, aunque Apple y WhatsApp ya corrigieron los dos fallos que lo hacían posible. La alerta llega a través de INCIBE, que se ha hecho eco del trabajo de Forenser, una empresa italiana especializada en informática forense.
Fue esta compañía la que detectó los primeros casos en mayo y confirmó que los teléfonos afectados eran distintos modelos de iPhone, todos con alguna versión de iOS 16. El patrón se repetía en cada análisis: la víctima no recibía ningún aviso de vinculación de un nuevo dispositivo y tampoco había pruebas de que hubiera aceptado nada extraño. Y sin embargo, su cuenta ya estaba comprometida. Cómo entraban sin que apareciera ningún dispositivo vinculado El truco está en combinar dos fallos que, por separado, no bastarían para hacer tanto daño.
Uno afectaba a iOS y el otro, directamente, a WhatsApp. El primero estaba en ImageIO, el componente del sistema encargado de procesar imágenes: entra en juego cada vez que el iPhone abre, previsualiza o descarga una foto recibida desde cualquier app, incluida WhatsApp. El segundo tenía que ver con los mensajes que WhatsApp usa para sincronizar los dispositivos vinculados a una cuenta. Al combinar ambos, el iPhone terminaba procesando información diseñada para aprovechar esos fallos, y eso abría la puerta a un acceso no autorizado a la cuenta sin pasar por los avisos habituales de seguridad.
Por eso, cuando los forenses revisaron los teléfonos afectados, no encontraron ningún dispositivo desconocido en el listado de sesiones vinculadas: para el usuario, todo parecía normal. La combinación de ambos fallos es lo que hace tan llamativo el caso, y es que WhatsApp suele avisar cuando se conecta un nuevo dispositivo a una cuenta, y aquí ese aviso nunca llegó a producirse. Qué hacían los atacantes una vez dentro de la cuenta El objetivo, como en casi todas estas estafas, era conseguir dinero. Una vez con acceso a WhatsApp, el ciberdelincuente enviaba mensajes a los contactos de la víctima haciéndose pasar por ella y pidiendo una transferencia con alguna excusa urgente.
Lo más llamativo es cómo tapaban el rastro después. Tras enviar esos mensajes desde la cuenta comprometida, el atacante los borraba con la opción «Eliminar solo para mí»: el mensaje desaparecía del chat visto desde ese dispositivo, pero seguía visible en el teléfono del contacto que lo había recibido. Es decir, la víctima real no veía nada raro si abría su propio WhatsApp, mientras que el contacto estafado sí conservaba la petición de dinero en su pantalla. Esto complica detectar el fraude a tiempo, porque quien puede darse cuenta primero de que algo va mal no es el propietario de la cuenta, sino la persona que recibe el mensaje.
Y si esa persona ya ha hecho la transferencia antes de sospechar nada, el daño está hecho. Las versiones que ya corrigen el fallo (y por qué toca revisar tu iPhone) La parte buena es que esta vía de entrada está cerrada desde 2025, siempre que tengas el teléfono y la app al día. Tanto Apple como WhatsApp lanzaron parches durante ese año para tapar los dos agujeros de seguridad. Para saber si estás a salvo, comprueba que tienes estas versiones o superiores: - WhatsApp para iOS: 2.25.21.73 - WhatsApp para Mac: 2.25.21.78 - iOS: 16.7.12 (si tu iPhone sigue en esta rama del sistema) Si tu iPhone lleva tiempo sin actualizarse o no recuerdas la última vez que revisaste la app, es buen momento para hacerlo.
Basta con entrar en Ajustes, General, Actualización de software, y comprobar que WhatsApp esté también en su última versión desde la App Store. Aprovecha también para repasar el listado de dispositivos vinculados en Ajustes de WhatsApp: en los casos detectados no aparecía nada extraño, pero es un gesto rápido que conviene convertir en costumbre.